JP2021128261A - 秘密分散ベースのマルチパーティ計算のための装置 - Google Patents

Abstract

【課題】秘密分散ベースＭＰＣの運用においてデータの流出に対する安全性をさらに高める。
【解決手段】装置は、秘密分散ベースのマルチパーティ計算に参加している装置である。装置が有するシェアと他の装置が有する対応するシェアとを合わせると元のデータを復元可能である。装置は、乱数を取得する手段と、装置のシェアを、取得された乱数に基づいて更新する手段と、を備える。更新する手段における更新の方法は、取得された乱数に基づいて更新された装置のシェアと、当該乱数に基づいて更新された他の装置の対応するシェアと、を合わせると、当該乱数による影響が相殺されて元のデータが復元されるように設計される。
【選択図】図１３

Description

本発明は、秘密分散ベースのマルチパーティ計算に利用されるシェアを保持する装置に関する。

持続可能な開発目標（Ｓｕｓｔａｉｎａｂｌｅ Ｄｅｖｅｌｏｐｍｅｎｔ Ｇｏａｌｓ、ＳＤＧｓ）は持続可能でよりよい世界を目指す国際目標である。ＳＤＧｓは発展途上国のみならず、先進国自身が取り組むユニバーサルなものであるとして、我が国の外務省が取り組みを後押ししている。

いわゆるビッグデータの活用はＳＤＧｓの達成に寄与する要素として認識されている一方、「人権」や「プライバシー」のリスクがあることについても認識されている。もしビッグデータの活用とプライバシーの保護とを両立することができれば、経済価値と併せて社会価値を生み出すことができると考えられる。

データ活用推進の例として、データの第三者提供が挙げられる。提供されるデータから個人が特定される可能性のあるデータには、しばしば仮名化／匿名化などの対策が施される。しかし、これらの手法ではデータの有用性と秘匿性のトレードオフを余儀なくされる。つまりプライバシー保護の強度を犠牲にして、精度の高い集計結果を得ることを優先するか、逆に、プライバシー保護を優先して、集計結果の精度を諦めるかの選択を迫られることになる。

このような二律背反の問題を解消し、経済価値・社会価値の創出を下支えする技術として「秘密計算」がある（非特許文献１参照）。秘密計算は、入力値を隠蔽したまま計算を可能とする技術である。この技術により、前述したトレードオフの状況をトレードオンに変えることが可能になる。

またデータ活用社会の実現に向けて、組織におけるデータ管理責任の問題が大きな注目を集めている。たとえば過去いくつもの組織によるデータの不正な取り扱いが問題視されており、データ主体である消費者が自身のデータを提供する先として安心できる組織か判断しかねることも多い。一方の組織にとっても、事業やサービスを介して蓄積したデータを流出させることで、経済的な損失だけではなく、社会的な信用を失うことに繋がる。持続可能な事業環境を構築するためには、組織能力あるいはガバナンスによる信頼を高める努力だけではなく、信頼を落とさないための根本的な技術革新が必要とされる。「秘密計算」はそこに寄与する、ひとつの手段である。

ＵＲＬ：https://www.jstage.jst.go.jp/article/isciesci/63/2/63_71/_pdf、２０２０年１月２９日検索

前述の通り、秘密計算の仕組みを導入すればデータ流出のリスクを軽減しつつ精確なデータの分析を行うことができる。しかしながら、ここ数年で起きた各所のビッグデータ流出事件にも見られる通り、攻撃は巧妙化、大規模化していることから、さらなる安全性の向上が求められている。

本発明はこうした課題に鑑みてなされたものであり、その目的は、秘密計算のひとつである秘密分散ベースのマルチパーティ計算（ＭＰＣ）においてデータの流出に対する安全性をさらに高めることができる技術の提供にある。

本発明のある態様は、装置に関する。この装置は、秘密分散ベースのマルチパーティ計算に参加している装置である。装置が有するシェアと他の装置が有する対応するシェアとを合わせると元のデータを復元可能である。装置は、乱数を取得する手段と、装置のシェアを、取得された乱数に基づいて更新する手段と、を備える。更新する手段における更新の方法は、取得された乱数に基づいて更新された装置のシェアと、当該乱数に基づいて更新された他の装置の対応するシェアと、を合わせると、当該乱数による影響が相殺されて元のデータが復元されるように設計される。

なお、以上の構成要素の任意の組み合わせや、本発明の構成要素や表現を装置、方法、システム、コンピュータプログラム、コンピュータプログラムを格納した記録媒体などの間で相互に置換したものもまた、本発明の態様として有効である。

本発明によれば、秘密計算のひとつである秘密分散ベースのマルチパーティ計算においてデータの流出に対する安全性をさらに高めることができる

２―ｏｕｔ―ｏｆ―２秘密分散されたデータを示す模式図である。 ２―ｏｕｔ―ｏｆ―３秘密分散されたデータを示す模式図である。 秘密分散ベースＭＰＣを実現するシステムの模式図である。 秘密分散ベースＭＰＣの加算器における処理を説明するための模式図である。 秘密分散ベースＭＰＣの乗算器に使用するビーバーズトリプルの概要を示す模式図である。 秘密分散ベースＭＰＣの乗算器における処理を説明するための模式図である。 サーバエイデッドモデルの概要を示す模式図である。 クライアントエイデッドモデルの概要を示す模式図である。 漏洩が起こる第１のパターンを説明する模式図である。 漏洩が起こる第２のパターンを説明する模式図である。 実施の形態に係る秘密分散ベースＭＰＣのコンセプトを説明するための模式図である。 本実施の形態に係る秘密分散ベースＭＰＣの安全性の根拠を説明する模式図である。 実施の形態に係る秘密分散ベースＭＰＣシステムの構成を示す模式図である。 図１３の環境Ａ装置のハードウエア構成図である。 図１３の環境Ａ装置の機能および構成を示すブロック図である。 図１５のシェア保持部の一例を示すデータ構造図である。 図１５のアクセス履歴保持部の一例を示すデータ構造図である。 図１３の秘密分散ベースＭＰＣシステムおける一連の処理の流れを示すチャートである。 本実施の形態に係る秘密分散ベースＭＰＣシステムによるトレーサビリティの向上を説明する模式図である。 本実施の形態に係る秘密分散ベースＭＰＣの適用例を説明するための模式図である。 変形例に係る秘密分散ベースＭＰＣの考え方を示す模式図である。 図２１に対応するシェア値の変化を示す模式図である。 乗算器の計算過程の一例を示す図である。 図１０の補足情報を示す図である。 ２者間の乱数生成（環境Ａ視点のフロー）を示す図である。 Ｅｔｈｅｒｅｕｍのトランザクションのハッシュ値による乱数生成を示す図である。

以下、各図面に示される同一または同等の構成要素、部材、処理には、同一の符号を付するものとし、適宜重複した説明は省略する。また、各図面において説明上重要ではない部材の一部は省略して表示する。

＜秘密分散法の概要＞
秘密分散法は、データを２つ以上に分割し、分割後のデータを閾値（一定数）以上集めれば、元データを復元できる手法を指す。分割後の値を「シェア」または「割符（わりふ、わっぷ）」と呼ぶ。秘密分散技術のＩＳＯ標準は、ＩＳＯ／ＩＥＣ １９５９２−２：２０１７に規定されている。秘密分散法のメリットは、各シェアが異なる記憶領域に保存されることで、閾値未満のシェアが不正に取得されても元データの復元を不可能にできることである。

秘密分散法には、データをＮ（Ｎは２以上の整数）分割し、うちＴ（Ｔは２以上Ｎ以下の整数）個を集めたら元データを復元できる実装が存在し、これを閾値法と呼ぶ。閾値法には例えばＴ―ｏｕｔ―ｏｆ―Ｎ秘密分散（（Ｔ、Ｎ）秘密分散とも呼ばれる）がある。Ｔ―ｏｕｔ―ｏｆ―Ｎ秘密分散は、Ｎ個のうち（Ｔ−１）個は盗まれても機密性が守られ（＝秘密が流出することはない）、（Ｎ−Ｔ）個まで破損しても完全性を維持できる（＝復元可能性を損なわない）仕組みである。

図１は、２―ｏｕｔ―ｏｆ―２秘密分散されたデータを示す模式図である。このスキームでは、データ２が２つのシェア４、６に分割されており、これら２つのシェア４、６を集めることで元のデータ２を復元可能である。加法型秘密分散法の場合のシェアの生成について具体的に説明する。秘密にしたいデータ２をｄとする。まず、乱数を生成し、これをｒとする。ｒを１つ目のシェア（シェア４）とする。（ｄ−ｒ）を２つ目のシェア（シェア６）とする。多くの場合、ある有限体上で表現される離散データとしてシェアの値は表現される。端的に言えば、シェア化する以前に法の値を取り決めて、乱数を用いて目的の個数に分割し、それぞれを法の値で剰余（モジュロ演算、％またはｍｏｄ）することでシェア値を求める。通例、剰余の記述が省略されることが多く、本明細書も一部を除いてこれに倣う。
・２つのシェアを足し合わせると、シェア４＋シェア６＝ｒ＋（ｄ−ｒ）＝ｄとなり、データ２（ｄ）の復元に成功する。

図２は、２―ｏｕｔ―ｏｆ―３秘密分散されたデータを示す模式図である。このスキームでは、データ８が３つのシェアのペア値１０、１２、１４に分割されており、これら３つのシェアのペア値１０、１２、１４のうち２つを集めれば元のデータ８を復元可能である。加法型秘密分散法の場合のシェアの生成について具体的に説明する。秘密にしたいデータ８をｄとする。
・２―ｏｕｔ―ｏｆ―２秘密分散と同様にデータ８を２つのシェアに分割する。簡単のため（ｒ、ｄ−ｒ）をそれぞれｓ１、ｓ２と呼ぶ。
・ローカルで乱数を２つ生成し、それぞれｒ１、ｒ２とする。
・各環境に対し、以下のシェアのペア値（２−タプル）を提供する。いずれの環境に渡されるペア値でもそれだけでは元のデータ８の復元は不可能である。
・（ａ１＝ｓ１＋ｒ１、ａ２＝ｓ２−ｒ２）
・（ｂ１＝ｓ１＋ｒ２、ｂ２＝ｓ２−ｒ１−ｒ２）
・（ｃ１＝ｓ１＋ｒ１＋ｒ２、ｃ２＝ｓ２−ｒ１）
・この場合、任意の２組の環境が持つペア値のうちの片方同士を足し算すれば、元のデータ８を復元できる。すなわち、ａ２＋ｂ１＝ｓ１＋ｓ２＝ｄ、ａ１＋ｃ２＝ｓ１＋ｓ２＝ｄ、ｂ２＋ｃ１＝ｓ１＋ｓ２＝ｄ。

なお、秘密分散のシェア化は加減算によるものに限られず、例えば排他的論理和で実施されてもよい。この場合、シェアを（乱数Ｑ）と（元のデータ＾乱数Ｑ）とに分ける（「＾」は排他的論理和を表す）。検算すると、（乱数Ｑ）＾（元のデータ＾乱数Ｑ）＝元のデータとなる。本明細書では加減算による表現で統一する。

＜秘密分散ベースのマルチパーティ計算の概要＞
秘密分散ベースのマルチパーティ計算（Ｍｕｌｔｉ−Ｐａｒｔｙ Ｃｏｍｐｕｔａｔｉｏｎ、ＭＰＣ）は、秘密分散されたままのデータを計算に用いることで秘密計算を実現する手法であり、本明細書では「秘密分散ベースＭＰＣ」と称す。秘密分散ベースＭＰＣでは、加算器と乗算器を用意することで機能完全性（Ｆｕｎｃｔｉｏｎａｌ Ｃｏｍｐｌｅｔｅｎｅｓｓ）を実現している。なお以下の説明では簡単のため、排他的論理和ではなく、加減算による加法型秘密分散法を前提とした説明を行う。

図３は、秘密分散ベースＭＰＣを実現するシステム１６の模式図である。秘密分散ベースＭＰＣを実現するシステム１６では、計算を行う装置同士の通信が極めて大量に発生する。図３の例では、シェアを分け合うＰ環境１８とＱ環境２０との間で、秘密計算を行うための通信が大量に発生する。したがって、通信の性能が秘密分散ベースＭＰＣの性能を決める大きな要因となる。そこでは、如何にラウンド数・通信量・通信回数を抑えるかが課題であり、また、如何に通信速度を向上させるか・通信を並列化させるかが課題である。

図４は、秘密分散ベースＭＰＣの加算器における処理を説明するための模式図である。秘密の提供者（データ収集基盤）である２つのクライアント２２、２４はそれぞれ第１秘密データ２６、第２秘密データ２８を有している。第１クライアント２２は第１秘密データ２６を２分割することで２つのシェア２６ａ、２６ｂを生成し、データ解析基盤の第１装置３０（例えば、サーバ）、第２装置３２にそれぞれ提供（例えば、アップロード）する。第２クライアント２４は第２秘密データ２８を２分割することで２つのシェア２８ａ、２８ｂを生成し、第１装置３０、第２装置３２にそれぞれ提供する。

第１装置３０は、提供されたシェア２６ａとシェア２８ａとを足し合わせることで第１和シェア３４ａを生成する。第２装置３２は、提供されたシェア２６ｂとシェア２８ｂとを足し合わせることで第２和シェア３４ｂを生成する。計算結果の利用者の装置３６は、第１和シェア３４ａと第２和シェア３４ｂとを取得して足し合わせることで、和データ３４を生成する。シェアの定義から、和データ３４は、第１秘密データ２６と第２秘密データ２８との和となる。このように、装置３６は第１秘密データ２６や第２秘密データ２８を知らなくてもそれらの和を計算することができる。

図５は、秘密分散ベースＭＰＣの乗算器に使用するビーバーズトリプルの概要を示す模式図である。ビーバーズトリプル（Ｂｅａｖｅｒ’ｓ Ｔｒｉｐｌｅ、ＢＴ）は乗算器の利用毎に使い捨てられる値である。１乗算ごとに１組のＢＴを使い捨てる。再利用すると安全性が損なわれる可能性があるので、再利用は行わない。ＢＴは、ｃ＝ａ×ｂ（ｃはａとｂの乗算結果）を満たす（ａ、ｂ、ｃ）という３値の組から成る。図５の例では、８ビット環境（２５６が法）において、ａ＝４７、ｂ＝９３、ｃ＝１９となっている。理解を促す目的で検算するとしたら、ｃ＝１９であるのは、（ａ×ｂ）＝（４７×９３）％２５６＝１９＝ｃだからである。ＢＴの各値は乱数でシェア化された上で計算を行う装置へ配布される。図５の例ではｃ＝１９が１８７と８８に分割される。これら２つのシェアを合わせると、（１８７＋８８）％２５６＝１９となって元のｃ＝１９が復元される。ａ、ｂについても同様である。以下、ＢＴを生成する段階を「オフライン・フェーズ」と呼ぶ。計算の実施前にＢＴを予め作成して蓄積しておいてもよい。

図６は、秘密分散ベースＭＰＣの乗算器における処理を説明するための模式図である。オフライン・フェーズでのＢＴ生成により３つの値３８、４０、４２の組としてＢＴが生成される。

第１クライアントは第１秘密データを２分割することで２つのシェア２６ａ、２６ｂを生成し、データ解析基盤の第１装置３０、第２装置３２にそれぞれ提供する。第２クライアントは第２秘密データを２分割することで２つのシェア２８ａ、２８ｂを生成し、第１装置３０、第２装置３２にそれぞれ提供する。第１装置３０は併せてＢＴのシェア３８ａ、４０ａ、４２ａを取得し、第２装置３２はＢＴの対応するシェア３８ｂ、４０ｂ、４２ｂを取得する。

図２３が表すように、第１装置３０は、提供されたシェア２６ａ、２８ａ、３８ａ、４０ａ、４２ａに対して第２装置３２との通信を含んだ所定の処理を行うことで、第１積シェア４４ａを生成する。第２装置３２は、提供されたシェア２６ｂ、２８ｂ、３８ｂ、４０ｂ、４２ｂに対して対応する第１装置３０との通信を含んだ所定の処理を行うことで、第２積シェア４４ｂを生成する。第１装置３０と第２装置３２とは上記の算術処理の過程で通信し、中間値を共有する。計算結果の利用者の装置３６は、第１積シェア４４ａと第２積シェア４４ｂとから積データ４４を生成する。このように、装置３６は第１秘密データや第２秘密データを知らなくてもそれらの積を計算することができる。

＜秘密分散ベースＭＰＣの実装モデル＞
ＢＴを生成するモデルはいくつかの類型化が可能である。例えば以下のように秘匿したいデータのシェア値を持つ装置と、秘匿したいデータのシェア値は持たないがＢＴ生成あるいは計算を助ける第三者的な装置を分けて考えて、それぞれの役割がどこに与えられるかにより大別できる。
・２者間のみでＢＴを生成するモデル（例えば紛失通信や準同型暗号によるもの）。このモデルは計算量や通信の面で比較的コストが高くなる。ただし２―ｏｕｔ―ｏｆ―２秘密分散の機密性が保たれるため、このあとのクライアントエイデッドモデルやサーバエイデッドモデルよりも堅牢である。
・Ｃｌｉｅｎｔ−Ａｉｄｅｄ（クライアントエイデッド）、すなわち第三者であるクライアントがＢＴを生成するモデル。このモデルでは、データの提供者自身であるクライアントにＢＴ生成の権限を委譲する。参加するクライアントが多いほど分権的という見方もあり、ＢＴを生成する計算負荷も分散される。後述の通り、クライアントを含めた３者中２者が背信（＝攻撃に協力）することで、秘密は漏洩しうる。つまり２者間のみでＢＴを生成するモデルの機密性より劣る。
・Ｓｅｒｖｅｒ−Ａｉｄｅｄ（サーバエイデッド）、すなわち第三者であるサーバがＢＴを生成するモデル。このモデルでは、計算を担う２者に加えて、第三者にＢＴ生成の権限を委譲する。クライアントエイデッドモデルと同じく、サーバを含めた３者中２者が背信することで、秘密は漏洩しうる。つまり２者間のみでＢＴを生成するモデルの機密性より劣る。

図７は、サーバエイデッドモデルの概要を示す模式図である。サーバエイデッドモデルでは、第１装置３０とも第２装置３２とも異なる、第三者の環境に置かれたサーバ４６がＢＴ（値３８、４０、４２の組）を生成する。サーバ４６は、生成されたＢＴをシェア化し、シェアの一方を第１装置３０に、シェアの他方を第２装置３２に、それぞれ提供する。

図８は、クライアントエイデッドモデルの概要を示す模式図である。クライアントエイデッドモデルでは、第１クライアント２２は第１装置３０、第２装置３２の両方から認証を受ける。認証済みの第１クライアント２２はＢＴ（値３８、４０、４２の組）を生成する。第１クライアント２２は、生成されたＢＴをシェア化し、シェアの一方を第１装置３０に、シェアの他方を第２装置３２に、それぞれ提供する。

＜秘密分散ベースＭＰＣの安全性を守る条件＞
秘密分散ベースＭＰＣにおいて、元のデータが復元されるパターン、すなわち漏洩が起こるパターンには以下の二通りがある。

図９は、漏洩が起こる第１のパターンを説明する模式図である。第１のパターンでは、攻撃者が両方のシェアを集めて、元のデータを復元する。例えば、攻撃者は元のデータ（値：１３）を分割して生成される２つのシェア（値：１８９と値：８０）を不正な手段で取得する。攻撃者はこれらのシェアを合わせることで（（１８９＋８０）％２５６＝１３）、元のデータを復元することができる。

図１０は、漏洩が起こる第２のパターンを説明する模式図である。第２のパターンでは、乗算過程において攻撃者がＢＴと乗算過程とを集めて、元のデータを復元する。例として、図２４は具体的にＢＴ生成者と環境Ａが結託することで起きる秘密の復元を表している。図１０、図２４の数値は図２３の数値に基づく。

元のデータ１（値：１３）をシェア１−１（乱数値：２４２）とシェア１−２（乱数値：２７）に分割、元のデータ２（値：１７）をシェア２−１（乱数値：２１３）とシェア２−２（値：６０）に分割、ＢＴ３（乱数値：１１）をシェア３−１（乱数値：５６）とシェア３−２（値：２１１）に分割、ＢＴ４（乱数値：２０５）をシェア４−１（乱数値：２４０）とシェア４−２（値：２２１）に分割、ＢＴ５（値：２０７）をシェア５−１（乱数値：１２９）とシェア５−２（値：７８）に分割したとする。攻撃者は、乗算器の計算過程に得られるシェア１−１とＢＴ３−１の和（（２４２＋５６）％２５６＝４２）とシェア１−２とＢＴ３−２の和（（２７＋２１１）％２５６＝２３８）、シェア２−１とＢＴ４−１の和（（２１３＋２４０）％２５６＝１９７）とシェア２−２とＢＴ４−２の和（（６０＋２２１）％２５６＝２５）、ならびにＢＴ３とＢＴ４を得る。このとき、シェア１−１とＢＴ３−１の和（計算結果：４２）とシェア１−２とＢＴ３−２の和（計算結果：２３８）の和からＢＴ３（値：１１）の差（（４２＋２３８−１１）％２５６＝１３）から元のデータ１（値：１３）を復元することができる。同じくシェア２−１とＢＴ４−１の和（計算結果：１９７）とシェア２−２とＢＴ４−２の和（計算結果：２５）の和とＢＴ４（値：２０５）の差（（１９７＋２５−２０５）％２５６＝１７）から元のデータ２（値：１７）を復元することができる。

これら２つのうち、いずれかのパターンを満たすのは、クライアントエイデッドとサーバエイデッドモデルにおいては、ＢＴの生成者を含めた３者中２者が背信した場合である。２者間のみでＢＴを生成するモデルでは、２者中２者が背信した場合である。

＜実施の形態に係る秘密分散ベースＭＰＣのコンセプト＞
実施の形態に係る秘密分散ベースＭＰＣでは、計算への参加者が結託することによる秘密の漏洩への対策として、秘密分散ベースＭＰＣに参加している各環境において定期的にシェア値を更新する。これにより、安全性とトレーサビリティとを高めることができる。

図１１は、実施の形態に係る秘密分散ベースＭＰＣのコンセプトを説明するための模式図である。本実施の形態では、周期的に（例えば、定期的に）乱数５６を生成する乱数生成機構５４を設ける。この乱数生成機構５４により生成される乱数５６は、図１や図２で説明したシェアを生成するための乱数とは異なり、ＢＴとも異なる。以下、乱数生成機構５４により生成される乱数５６をシェア更新用乱数と称す。

図２５に乱数生成機構５４の実現方法の例を示す。復号に必要なシェア値を持つすべての環境同士で実現する。この範囲を図１１の形態に基づけば、「すべて」は環境Ａと環境Ｂであり、環境Ａにとっての「自身以外のすべて」は環境Ｂ、環境Ｂにとっての「自身以外のすべて」は環境Ａを指す。すべての装置は、自身で無作為に数字を選択（乱数値を生成）する。このとき決めた数字をシェア更新用乱数シードと称す。公開鍵暗号（非対称鍵暗号）の公開鍵・秘密鍵を生成の上、シェア更新用乱数シードにハッシュ関数など不可逆な処理を適用した出力値に秘密鍵で署名する。署名済みの値と公開鍵のペアをシード検証値と称す。

まずシード検証値を、自身以外のすべての装置へ送信する。それから自身以外のすべての装置からシード検証値を受け取ったら、それぞれのシード検証値を送信元と対応づけて、保持する。自身以外のすべての装置からシード検証値を受け取った装置は、自身以外のすべての装置に向けて自身のシェア更新用乱数シードを送信する。自身以外のすべてのシェア更新用乱数シードを受け取った装置は、受け取ったシェア更新用乱数シードを、送信元を同じくするシード検証値の公開鍵で認証する。

ひとつでも認証が失敗した場合、例外処理を開始する。例外処理の例として、たとえばシェアの更新処理を中止してもよい。

反対にすべての認証が成功した場合、受け取ったすべてのシェア更新用乱数シードを合計する。この合計値、または合計値にハッシュ関数など不可逆な処理を適用した出力値を、暫定シェア更新用乱数と称す。自身以外のすべての装置に向けて暫定シェア更新用乱数を提供する。同時に、自身以外のすべての装置から暫定シェア更新用乱数を受け取る。すべての暫定シェア更新用乱数が一致した場合、この値を正式に次回更新用のシェア更新用乱数とする。

ここまでの手続きの代替案を述べる。すべての環境のうちのＫ者（Ｋは１以上Ｎ未満の整数）に、または他の環境に、たとえばＢＴの生成や計算を補助する役割を持つ装置に、シェア更新用乱数を生成させる方法もある。しかし、Ｋ者の環境あるいは他の環境が結託し、Ｋ者上の装置において、攻撃対象とする秘密に紐づくシェア値の合計を任意の値（例：０）にすることで、残りの（Ｎ−Ｋ）個の環境上のシェアを合わせれば、秘密を復号可能にできる。図１１を例にとれば、環境Ａ上のシェアを意図的に０にできれば、環境Ｂ上のシェアを元のデータ（＝秘密）と等価にすることができてしまう。言い換えると、シェアの更新前に環境Ａ側の攻撃者が、環境Ｂ側の誰かに、次回のシェアの更新後に、環境Ｂ上で秘密が復元されることを予告しておけば、次回のシェアの更新後に環境Ｂ側の攻撃者が、環境Ｂ側へアクセスするだけで、秘密を入手することができる。この状況の不都合は、秘密が復元された環境へのアクセスのみで秘密が漏洩しうる状況が、攻撃者の意図の下で実現可能であり、後述のアクセス履歴を活用したトレーサビリティを無効化してしまう点にある。そのため、Ｎ未満の環境の意図で操作されない乱数値の生成方法が推奨される。もちろん上述した例のように、Ｎ全体で合意済みの乱数値であっても、Ｎ内の各環境に乱数を操作可能な攻撃者が存在することで、同様の攻撃が可能となる。したがって、シェアを保有する当事者が等しくアクセス可能で、かつシェアを保有する当事者の意図を介在させづらい手段により取得された乱数が、シェア更新用乱数シードの合計値と所定の計算（例：加減算）されることが、もっとも望ましい。例として図２６のように、すべての環境から直接インターネットへの接続が許されるのであれば、Ｅｔｈｅｒｅｕｍのようなパブリックチェーンが保持するトランザクションのハッシュ値から乱数を得る手段が考えられる。シェア更新用乱数に予測不可能性を与えるため、すべての環境がシード検証値を受け取るよりも未来のＢｌｏｃｋ Ｈｅｉｇｈｔから乱数を得るようにし、当該Ｂｌｏｃｋ Ｈｅｉｇｈｔより数ブロック（Ｃｏｎｆｉｒｍａｔｉｏｎｓ）を経たあとで、すべての環境はシェア更新用乱数シードを送受信する。

上記の懸念を許容した上で、たとえばＮ箇所中Ｔ箇所未満でアクセスが同時発生した場合でも追跡対象とする、という運用が許容されるのであれば、Ｎ未満の環境が合意可能な乱数生成手段を用いてもよい。

元のデータ５８を二つのシェア５８ａ、５８ｂに分割し、それぞれ異なる環境Ａ、環境Ｂに秘密分散させる。乱数生成機構５４により、所定のタイミングで環境Ａ、環境Ｂは同じシェア更新用乱数５６を入手する。シェア更新用乱数５６を入手した環境Ａ、環境Ｂは通信を行い、シェア更新用乱数５６を確かめ合う。つまりシェアを保有するすべての環境同士でシェア更新用乱数を確かめ合うことで、シェア更新用乱数５６の不一致によるデータの破損を防ぐことができる。

環境Ａでは、シェアの更新処理として、シェア５８ａにシェア更新用乱数５６が加算されて新たなシェア６０ａが生成される。環境Ｂでは、シェアの更新処理として、シェア５８ｂからシェア更新用乱数５６が減算されて新たなシェア６０ｂが生成される。環境Ａの新たなシェア６０ａと環境Ｂの新たなシェア６０ｂとが足し合わされると、シェア更新用乱数５６の影響が相殺されて元のデータ５８が復元される。すなわち、
シェア６０ａ＋シェア６０ｂ＝
（シェア５８ａ＋シェア更新用乱数５６）＋（シェア５８ｂ−シェア更新用乱数５６）＝
シェア５８ａ＋シェア５８ｂ＝
元のデータ５８
となる。このように、シェア更新用乱数５６によりシェアが更新されても元のデータは損なわれず、秘密分散ベースＭＰＣにも支障を起こさない。

図１１に示されるような本実施の形態に係る秘密分散ベースＭＰＣでは、環境Ａ、環境Ｂの両方への攻撃を同時に、特に同じ期間（すなわち、同じシェア更新用乱数５６で加算／減算したタイミングから、次回の更新が発生するまでの期間）で成功させない限り、秘密を暴くことはできない。これにより、攻撃に対する強い制約が課せられる。

図１２は、本実施の形態に係る秘密分散ベースＭＰＣの安全性の根拠を説明する模式図である。攻撃者６２があるタイミングで環境Ｂへの攻撃に成功し、環境Ｂがそのタイミングで有するシェア５８ｂを取得したとする。そして、攻撃者６２はシェア値の更新を跨いだ別のタイミングで環境Ａへの攻撃に成功し、環境Ａがその別のタイミングで有するシェア６０ａを取得したとする。攻撃者６２は取得した二つのシェア５８ｂ、６０ａから元のデータ５８の復元を試みるが、シェア更新用乱数５６によるシェア値の更新のために、その復元は成功しない。このように、本実施の形態に係る秘密分散ベースＭＰＣでは、仮に両方のシェアが流出したとしても、流出のタイミングが十分にずれていれば、元のデータを復元することはできない。

＜実施の形態に係る秘密分散ベースＭＰＣを実現するシステムの詳細な説明＞
図１３は、実施の形態に係る秘密分散ベースＭＰＣシステム７０の構成を示す模式図である。秘密分散ベースＭＰＣシステム７０は、乱数生成機構５４と、環境Ａに設けられた環境Ａ装置７２と、環境Ｂに設けられた環境Ｂ装置７４と、を備える。乱数生成機構５４、環境Ａ装置７２、環境Ｂ装置７４はインターネットなどのネットワークを介して通信する。図１３には図示していないが、秘密分散ベースＭＰＣシステム７０がクライアントなどの他の要素を有することは本明細書に接した当業者には理解される。

環境Ａ、環境Ｂはそれぞれ異なる環境であり、例えば環境Ａ、環境Ｂはそれぞれ異なる主体により管理、運用されているクラウドサーバ群であってもよい。環境Ａ装置７２、環境Ｂ装置７４はいずれも実施の形態に係る秘密分散ベースＭＰＣに参加している。環境Ａ装置７２が有するシェアと環境Ｂ装置７４が有する対応するシェアとを合わせると元のデータを復元可能ではあるが、一方のシェアだけでは復元できない秘密の分散が上記の機構により実現されている。

図１４は、図１３の環境Ａ装置７２のハードウエア構成図である。環境Ｂ装置７４、乱数生成機構５４は図１４に記載のハードウエア構成と同様のハードウエア構成を有してもよい。環境Ａ装置７２は、メモリ１３０と、プロセッサ１３２と、通信インタフェース１３４と、ディスプレイ１３６と、入力インタフェース１３８と、を含む。これらの要素はそれぞれバス１４０に接続され、バス１４０を介して互いに通信する。

メモリ１３０は、データやプログラムを記憶するための記憶領域である。データやプログラムは、メモリ１３０に恒久的に記憶されてもよいし、一時的に記憶されてもよい。プロセッサ１３２は、メモリ１３０に記憶されているプログラムを実行することにより、環境Ａ装置７２における各種機能を実現する。通信インタフェース１３４は、環境Ａ装置７２の外部との間でデータの送受信を行うためのインタフェースである。例えば、通信インタフェース１３４はネットワークにアクセスするためのインタフェースを含み、該ネットワークを介して環境Ｂ装置７４や乱数生成機構５４とデータの授受を行う。ディスプレイ１３６は、各種情報を表示するためのデバイスであり、例えば、液晶ディスプレイや有機ＥＬ（Electroluminescence）ディスプレイなどである。入力インタフェース１３８は、ユーザからの入力を受け付けるためのデバイスである。入力インタフェース１３８は、例えば、マウスやキーボードやディスプレイ１３８上に設けられたタッチパネルを含む。

図１５は、図１３の環境Ａ装置７２の機能および構成を示すブロック図である。ここに示す各ブロックは、ハードウエア的には、コンピュータのＣＰＵをはじめとする素子や機械装置で実現でき、ソフトウエア的にはコンピュータプログラム等によって実現されるが、ここでは、それらの連携によって実現される機能ブロックを描いている。したがって、これらの機能ブロックはハードウエア、ソフトウエアの組合せによっていろいろなかたちで実現できることは、本明細書に触れた当業者には理解されるところである。環境Ｂ装置７４は、図１５に示される環境Ａ装置７２の機能および構成と同様の機能および構成を有する。

環境Ａ装置７２は、シェア更新用乱数取得部１０２と、シェア更新用乱数確認部１０４と、シェア更新部１０６と、アクセス管理部１０８と、シェア保持部１１０と、アクセス履歴保持部１１２と、を備える。

図１６は、図１５のシェア保持部１１０の一例を示すデータ構造図である。シェア保持部１１０は、秘密分散ベースＭＰＣシステム７０におけるシェア同士の対応関係を示すシェアＩＤと、シェアの値と、シェアのリビジョンを特定する値であるリビジョン番号と、を対応付けて保持する。シェアのリビジョン番号は、複数のシェアが常に同一のリビジョン番号を保持しても良いし、シェア毎にリビジョン番号を管理しても良い。秘密分散ベースＭＰＣシステム７０において、秘密の提供者であるクライアントにおいて元のデータを分割して生成される２個以上のシェアにはそれぞれ同じシェアＩＤが割り当てられる。したがって、シェアのシェアＩＤが一致するということは、それらシェアが、同じ元のデータを分割することで生成された対応するシェアであることを示す。図１の例では、元のデータ２を分割することで生成されるシェア４およびシェア６は同じシェアＩＤ（例えば、「ＳＨ０１」など）を有する。リビジョン番号は、シェアが更新されるたびに更新される。リビジョン番号の更新はインクリメントか、あるいはハッシュ関数等の一方向性を持つものが推奨される。本明細書の以下においては、簡単のためインクリメントで表現する。

図１７は、図１５のアクセス履歴保持部１１２の一例を示すデータ構造図である。アクセス履歴保持部１１２は、シェア保持部１１０に保持されているシェアごとに、当該シェアのリビジョン番号と、当該リビジョン番号のシェアに対するアクセスの情報と、を対応付けて、アクセス当時のリビジョン番号を保持する。アクセスの情報は、図１７の例ではシェアにアクセスしたユーザを特定するユーザＩＤを含む。アクセス履歴保持部１１２では、シェア更新用乱数が更新されるたびに、すなわちシェアが更新されるたびに、更新されたリビジョン番号を有するエントリが追加される。

図１５に戻り、シェア更新用乱数取得部１０２は、乱数生成機構５４からシェア更新用乱数を取得する。乱数生成機構５４は周期的に、例えば１時間ごと、８時間ごと、１２時間ごと、１日ごとなどのように定期的に、シェア更新用乱数を更新する。シェア更新用乱数取得部１０２は、乱数生成機構５４においてシェア更新用乱数が更新されるたびに、そのように更新されたシェア更新用乱数を取得する。

なお、シェア更新用乱数は所定のルールに基づいて更新されればよく、定期的に更新される以外にも、不規則な間隔で更新されてもよい。シェア更新用乱数の更新サイクル（＝シェアの更新サイクル）が不規則な方が、攻撃が難しくなる。

シェア更新用乱数確認部１０４は、シェア更新用乱数取得部１０２が取得したシェア更新用乱数の正当性を検証する。シェア更新用乱数確認部１０４は、シェア更新用乱数取得部１０２がシェア更新用乱数を取得すると、環境Ｂ装置７４のシェア更新用乱数確認部とネットワークを介して通信することによって、環境Ａ装置７２が取得したシェア更新用乱数と環境Ｂ装置７４が取得したシェア更新用乱数とが一致するか否か判定する。シェア更新用乱数確認部１０４は、一致すると判定されると処理をシェア更新部１０６に渡す。シェア更新用乱数確認部１０４は、一致しないと判定されると所定のシェア更新用乱数生成異常処理を実行する。

シェア更新部１０６は、シェア保持部１１０に保持されている環境Ａ装置７２のシェアを、シェア更新用乱数取得部１０２によって取得されたシェア更新用乱数に基づいて更新する。このシェア更新部１０６における更新の方法は、取得されたシェア更新用乱数に基づいて更新された環境Ａ装置７２のシェアと、当該シェア更新用乱数に基づいて更新された環境Ｂ装置７４の対応するシェアと、を合わせると、当該シェア更新用乱数による影響が相殺されて元のデータが復元されるように設計される。

本実施の形態では、環境Ａ装置７２のシェアにシェア更新用乱数を加算する一方、環境Ｂ装置７４の対応するシェアからシェア更新用乱数を減算することによって、シェア更新用乱数の影響の相殺を実現する（図１１、図１２を参照）。全環境で更新が成功し、かつ、以降の処理で不要になった時点で、速やかに環境Ａ装置７２の全部から更新前のシェア値とシェア更新用乱数を破棄して、復元不可能にしなければならない。シェア更新部１０６は、シェア更新用乱数取得部１０２が破棄以外に更新されたシェア更新用乱数を取得した場合、更新前のシェア更新用乱数によって既に更新されたシェアを、更新されたシェア更新用乱数に基づいてシェアをさらに更新する。

環境Ａでは加算を、環境Ｂでは減算を行ったように、環境ごとに計算を行う役割は所定の手段により決定される。シェアの更新を通してなされた操作内容が、全体で相殺（ゼロサム）される手段であればよい。例えば３環境で秘密分散している状況において、加算役に１環境を割り当て、減算役に２環境を割り当てたら、加算役の環境はシェア更新用乱数の倍を加算する取り決めを置く。結果としてシェアの更新は全体で（シェア更新用乱数×２）−（シェア更新用乱数＋シェア更新用乱数）＝０となる。

シェア更新部１０６は、環境Ｂ装置７４と通信することによって、取得されたシェア更新用乱数に基づいて更新された環境Ａ装置７２のシェアのリビジョン番号と、当該シェア更新用乱数に基づいて更新された環境Ｂ装置７４の対応するシェアのリビジョン番号と、を一致させるための処理を行う。各装置でシェア値の更新が完了したことを確認し合い、更新ごとのリビジョンを管理することで、更新後もシェアを一意にすることが可能になる。

シェア更新部１０６は、更新シェア算出部１１４と、リビジョン同期部１１６と、シェア切替部１１８と、リビジョン遷移管理部１２０と、を含む。シェア更新部１０６のさらなる詳細は図１８を参照して後述する。

アクセス管理部１０８は、シェア保持部１１０に保持されるシェアへのアクセスを管理する。アクセス管理部１０８は、ユーザから入力インタフェース１３８を介してまたはネットワークを介して、シェア保持部１１０に保持されるシェアへのアクセス要求を受け付ける。アクセス管理部１０８は、要求元のユーザのユーザ認証を行い、認証に失敗するとアクセスを拒否する。アクセス管理部１０８は、認証に成功すると、受け付けたアクセス要求で指定されるシェアをシェア保持部１１０から読み出し、要求元に提供する。アクセス管理部１０８は併せて、提供したシェアのリビジョン番号と、シェアの提供先のユーザのユーザＩＤと、を対応付けてアクセス履歴保持部１１２に登録する。

以上の構成による秘密分散ベースＭＰＣシステム７０の動作を説明する。
図１８は、図１３の秘密分散ベースＭＰＣシステム７０おける一連の処理の流れを示すチャートである。環境Ａ装置７２のシェア更新用乱数取得部１０２および環境Ｂ装置７４のシェア更新用乱数取得部はそれぞれ、乱数生成機構５４によって生成または更新されたシェア更新用乱数を取得する（Ｓ８０２）。環境Ａ装置７２のシェア更新用乱数確認部１０４は環境Ｂ装置７４のシェア更新用乱数確認部と通信することで、ステップＳ８０２で取得したシェア更新用乱数を確認する（Ｓ８０４）。環境Ａ装置７２のシェア更新部１０６の更新シェア算出部１１４は、シェア保持部１１０に保持されているシェアのシェアＩＤおよび現在のシェア値を読み出し、読み出されたシェア値にステップＳ８０２で取得したシェア更新用乱数を加算することで更新シェアを算出する（Ｓ８０６）。併せて更新シェア算出部１１４は、ステップＳ８０６で読み出されたシェア値の現在のリビジョン番号をシェア保持部１１０から読み出し、読み出されたリビジョン番号をインクリメントする（あるいはハッシュ関数でハッシュ計算し、次回リビジョン番号を決める）ことで新しいリビジョン番号を算出する（Ｓ８０８）。同様に、環境Ｂ装置７４のシェア更新部の更新シェア算出部は、環境Ｂ装置７４のシェア保持部に保持されているシェアのシェアＩＤおよび現在のシェア値を読み出し、読み出されたシェア値からステップＳ８０２で取得したシェア更新用乱数を減算することで更新シェアを算出する（Ｓ８１０）。併せて更新シェア算出部は、ステップＳ８１０で読み出されたシェア値の現在のリビジョン番号をシェア保持部から読み出し、読み出されたリビジョン番号をインクリメントする（あるいはハッシュ関数でハッシュ計算し、次回リビジョン番号を決める）ことで新しいリビジョン番号を算出する（Ｓ８１２）。

環境Ａ装置７２のシェア更新部１０６のリビジョン同期部１１６は、更新対象のシェアのシェアＩＤと、ステップＳ８０８で算出された新しいリビジョン番号と、を、ネットワークを介して環境Ｂ装置７４のシェア更新部のリビジョン同期部に通知する（Ｓ８１４）。環境Ｂ装置７４のシェア更新部のリビジョン同期部はその通知を受け取る。該リビジョン同期部は、ステップＳ８１０で算出された更新シェアのなかから、通知されたシェアＩＤと一致するシェアＩＤを有する更新シェアを特定する。該リビジョン同期部は、特定された更新シェアについてステップＳ８１２で算出された新しいリビジョン番号と、ステップＳ８１４で通知された新しいリビジョン番号と、を比較する（Ｓ８１６）。

ステップＳ８１６において新しいリビジョン番号同士が一致しないと判定された場合（Ｓ８１８のＮ）、環境Ｂ装置７４のシェア更新部のリビジョン同期部は所定の例外処理を実行する（Ｓ８２０）。例えば、該リビジョン同期部は更新シェアを破棄し、リビジョンを再同期して更新し直すための処理を行ってもよい。

ステップＳ８１６において新しいリビジョン番号同士が一致すると判定された場合（Ｓ８１８のＹ）、環境Ｂ装置７４のシェア更新部のシェア切替部は古いシェアを破棄して更新シェアに切り替える（Ｓ８２２）と共に、当該シェアのリビジョン番号を新しいリビジョン番号で更新する（Ｓ８２４）。該シェア切替部は、環境Ｂ装置７４のシェア保持部に保持されているシェアのなかから、ステップＳ８１４で通知されたシェアＩＤと一致するシェアＩＤを有するシェアを特定する。該シェア切替部は、特定されたシェアの値を破棄し、通知されたシェアＩＤと一致するシェアＩＤを有する更新シェアの値（ステップＳ８１０で算出済み）を代わりに登録する。併せて該シェア切替部は、特定されたシェアのリビジョン番号を新しいリビジョン番号（ステップＳ８１２で算出済み）に書き換える。

環境Ｂ装置７４において更新シェアへの切替が完了すると、環境Ｂ装置７４のシェア更新部のシェア切替部は、環境Ａ装置７２のシェア切替部１１８に更新完了通知を行う（Ｓ８２６）。シェア切替部１１８は、更新完了通知を受け取ると、古いシェアを破棄して更新シェアに切り替える（Ｓ８２８）と共に、当該シェアのリビジョン番号を新しいリビジョン番号で更新する（Ｓ８３０）。該シェア切替部１１８は、環境Ａ装置７２のシェア保持部１１０に保持されているシェアのなかから更新対象のシェア（すなわち、ステップＳ８１４で通知したシェアＩＤと一致するシェアＩＤを有するシェア）を特定する。該シェア切替部１１８は、特定されたシェアの値を破棄し、更新対象のシェアの更新シェアの値（ステップＳ８０６で算出済み）を代わりに登録する。併せて該シェア切替部１１８は、特定されたシェアのリビジョン番号を新しいリビジョン番号（ステップＳ８０８で算出済み）に書き換える。

環境Ａ装置７２のシェア更新部１０６はステップＳ８０２で取得したシェア更新用乱数を破棄する（Ｓ８３２）。環境Ａは更新完了時間のタイムスタンプをログ形式で残す。このとき環境Ａから環境ＢへステップＳ８３０が正常終了したことを通知する（Ｓ８３４）。環境Ｂは通知を受け取ると、環境Ｂのシェア更新部はステップＳ８０２で取得したシェア更新用乱数を破棄する（Ｓ８３６）。環境Ｂは更新完了時間のタイムスタンプをログ形式で残す。

ステップＳ８３４の通知が一定時間受け取られなかった場合（Ｓ８３８のＹ）、例外処理を行う（Ｓ８４０）。たとえば環境Ａと連絡を取り合い、環境Ａ側の正常終了を確認したら、環境Ｂのシェア更新部はステップＳ８０２で取得したシェア更新用乱数を破棄し、通常運用に復帰する。逆に、正常終了が確認できなかった場合、すべての環境を更新する以前の状態に巻き戻す必要がある。例えば、更新操作が完了していたシェアに対して、シェア更新用乱数を使い、シェアを元に戻す操作を行ってもよい。シェア更新用乱数で加算していたシェアはシェア更新用乱数で減算し、シェア更新用乱数で減算していたシェアはシェア更新用乱数で加算し、更新済みのリビジョン番号は１つ古いものに戻すことで、更新を行う以前の状態にシェアを戻してもよい。同時に更新操作が完了していたシェアのリビジョン番号も更新前に戻す。リビジョン番号の採番にインクリメントを利用している場合は、デクリメントする。ただし、リビジョン番号に対して、ハッシュ関数のような一方向性のある採番方法を採用している場合、古いリビジョン番号は正常終了が確認できるまで保持されてある必要がある。シェアの更新の正常終了が確認できた場合、安全性のために古いリビジョン番号は破棄されてもよい。更新時に残したタイムスタンプも無効化する。

環境Ａ装置７２のシェア更新部１０６のリビジョン遷移管理部１２０は、上記のシェア更新の手順において、各装置内で行われる計算のオペランド（＝シェア）のリビジョンの不一致を防止するための処理を行う。そのようなリビジョンの不一致は、例えば、環境Ｂ装置７４側でシェアの切り替えが終わってから、環境Ａ装置７２側でシェアの切り替えが終わるまでの間（図１８のステップＳ８２４からステップＳ８３０の間）に計算が発生した場合に生じうる。具体的には、環境Ａ装置７２で進行中の計算に使われているシェアが古いリビジョンになってしまう。このようなリビジョンの不一致を防止するため、対策を実施する。例として、リビジョン遷移管理部１２０において、以下の２つの遷移管理処理のうちのいずれかを行うことが例として挙げられる。

（その１）シェアのリビジョンの同期中、すなわち図１８のステップＳ８１４の開始前からステップＳ８３０が完了するまでの間、環境Ａ装置７２のリビジョン遷移管理部１２０および環境Ｂ装置７４のリビジョン遷移管理部はそれぞれ環境Ａ装置７２の計算および環境Ｂ装置７４の計算を以下の要領で停止する。
（停止手順）
まず環境Ａ装置７２と環境Ｂ装置７４ともに計算プロセスの開始受付を停止する。さらにそれら２つの装置間で、現在実行中の計算プロセスを共有し合う。差分が存在する場合、その応対に以下の２通りの選択肢がある。
選択肢１：停止前に両装置で、当該計算プロセスの協力作業を完了させてしまう。
選択肢２：差分プロセスを実行中の装置側で当該プロセスを中断し、シェア更新後に先送りする。
ステップＳ８３０の完了後、環境Ａ装置７２のリビジョン遷移管理部１２０から環境Ｂ装置７４のリビジョン遷移管理部に追加の通知を行い、それぞれ更新後のシェアを使い計算を再開する。

その１の遷移管理処理は、特に計算プロセスの粒感が小さい場合には残存プロセスの消化にかかる時間が短いので、可用性が高い。また、後述のその２の遷移管理処理よりも必要な通信帯域が少なくて済む。

（その２）各装置で発生するすべての計算プロセスにおいて、オペランドにしたシェアにそのリビジョン番号を対応付ける。計算が発生したタイミングで、このリビジョン番号を環境Ａ装置７２のリビジョン遷移管理部１２０から環境Ｂ装置７４のリビジョン遷移管理部に通知する。なお、一連の処理に乗算器が含まれる場合、元々２つの装置間で１ラウンド以上の通信が発生するため、そちらのタイミングで通知を兼ねてもよい。

環境Ｂ装置７４において、同じ計算を協力するプロセスのリビジョン番号が、環境Ａ装置７２から通知されたリビジョン番号と不一致した場合（すなわち、環境Ａ装置７２から通知したリビジョン番号の方が古い場合（なぜなら、図１８の手順に倣った場合、環境Ｂ装置７４の方が先にシェアの切り替えを実施しているから））、環境Ｂ装置７４のリビジョン遷移管理部から環境Ａ装置７２のリビジョン遷移管理部１２０へ通知する。

通知を受けた環境Ａ装置７２のリビジョン遷移管理部１２０は、新しいリビジョンのシェアを取得し終えてから、環境Ａ装置７２側だけで当該計算プロセスをはじめからやり直す。

その２の遷移管理処理によると、可用性への影響は比較的小さい。例えば、不一致が起きたとき、環境Ａ装置７２側で若干の遅延が発生するのみである。また、その２の遷移管理処理は、シェアの更新サイクルが不規則な場合により好適である。また、特に環境全体ですべてのシェアを１つのリビジョン番号に紐づけて管理する場合に限定されるが、一度でもシェアをオペランドに使い、かつラウンドが発生する計算（例：乗算器）が成功した場合、以降はリビジョン番号を相手に通知する必要はなくなる。なぜなら環境全体に渡り同一のリビジョン番号によりシェアが管理されているという前提があるため、すべての環境が通信する（ラウンドが発生する）計算が成功したということは、すべての環境のすべてのシェアが最新化されていることを保証できるからである。乗算器を通した合意方法以外に、あらかじめシェア更新後は双方でリビジョンを通知し合い、合意してから計算を再開する、という取り決めをしてもよい。

その１の遷移管理処理を採用するか、その２の遷移管理処理を採用するか、はシステムの要件により判断されてもよい。

上述の実施の形態において、保持部の例は、ハードディスクや半導体メモリである。また、本明細書の記載に基づき、各部を、図示しないＣＰＵや、インストールされたアプリケーションプログラムのモジュールや、システムプログラムのモジュールや、ハードディスクから読み出したデータの内容を一時的に記憶する半導体メモリなどにより実現できることは本明細書に触れた当業者には理解される。

本実施の形態に係る秘密分散ベースＭＰＣシステム７０によると、装置管理者の能力不足などによる元のデータの流出リスクを低減することができる。従来の秘密分散ベースＭＰＣでは、片方のシェア値の流出検知が遅れたがために、その間にもう片方のシェア値が流出することで、データが流出したと見做される。これに対して、本実施の形態に係る秘密分散ベースＭＰＣシステム７０では、周期的にシェア更新用乱数を生成してシェアを更新していくので、同じリビジョンのシェア値がほぼ同時に流出しない限り、元のデータの流出は起こらない。

また、本実施の形態に係る秘密分散ベースＭＰＣシステム７０では、悪意のある攻撃を牽制し、仮にデータの流出が起きても容疑者を絞り込めることでフォレンジックに貢献することができる。秘密分散ベースＭＰＣシステム７０では環境Ａ装置７２のアクセス履歴と環境Ｂ装置７４のアクセス履歴とを付き合わせることでトレーサビリティが向上するので、攻撃実行に向けての心理障壁が高まる。データの流出が起きた場合、それは「データ作成／変更」時点から「同時アクセスが発生したリビジョン」時点までの間に起きた蓋然性が高いため、問題発生時のフォレンジックを支援することが可能になる。そのため説明責任の能力が向上する。

図１９は、本実施の形態に係る秘密分散ベースＭＰＣシステム７０によるトレーサビリティの向上を説明する模式図である。図１９の上段は、環境Ａ装置７２における、元のデータを分割して得られた片方のシェア８０へのアクセス履歴を表す。図１９の下段は、環境Ｂ装置７４における、もう片方のシェア８２へのアクセス履歴を表す。同じリビジョンの２つのシェア８０、８２を合わせると元のデータを復元可能である。このように、本実施の形態に係る秘密分散ベースＭＰＣシステム７０では、シェアの更新時点でタイムラインをハッシュすることができるので、流出を引き起こした容疑者を絞り込むことができる。

図１９の例では、リビジョン番号が「Ｒｅｖ４」、「Ｒｅｖ５」、「Ｒｅｖ６」のときに２つのシェア８０、８２への同時のアクセスが生じている。したがって、仮に元のデータの流出が発生した場合、リビジョン番号「Ｒｅｖ４」、「Ｒｅｖ５」、「Ｒｅｖ６」に関連するユーザ８４、８６、８８、９０、９２、９４が怪しいということになる。同じユーザが同じリビジョンの２つのシェア８０、８２にアクセスしていた場合は、当然そのユーザが最も疑わしいこととなる。したがって、図１９の例ではユーザ９４が、流出を生じさせた犯人として最も疑わしい。次に、何度もアクセスしているユーザは疑わしいことから、リビジョン番号「Ｒｅｖ４」、「Ｒｅｖ５」、「Ｒｅｖ６」について２度アクセスしているユーザ８６は疑わしいこととなる。また、異なるユーザが結託している可能性を考慮すると、同じリビジョンの２つのシェア８０、８２にアクセスしているユーザ８４とユーザ８６の組（Ｒｅｖ４）、ユーザ９２とユーザ８６との組（Ｒｅｖ６）、の結託が疑われる。逆にリビジョンがずれていれば２つのシェア８０、８２にアクセスしていても問題はないことから、例えばユーザ８８とユーザ８６との結託の蓋然性は低いと言える。

このように、本実施の形態に係る秘密分散ベースＭＰＣシステム７０によると、システム監査を支援する結託防止スキームを実現できる。

＜適用例＞
図２０は、本実施の形態に係る秘密分散ベースＭＰＣの適用例を説明するための模式図である。本適用例では、秘密計算を用いたＭ＆Ａの支援において本実施の形態に係る秘密分散ベースＭＰＣを適用することで、機微なデータの流出のリスクを軽減し、かつ、有事の際のトレーサビリティを向上させる。

同業他社のＭ＆Ａを検討する場合、買収先の顧客層が被らない方がＭ＆Ａ効果が高いと言われている。顧客プロフィール、過去の消費活動、嗜好などの差分を分析できれば顧客層の被りを最小化できるが、そのような分析のためには顧客情報を一度明かさなければならない。顧客情報を明かしたあげくＭ＆Ａが不成立となった場合、今後の競争力に多大な影響を及ぼしかねない。

そこで、本適用例では、秘密計算のスキームに則り、各社が顧客情報に秘匿化（シェア化）を施した上で計算環境上で共有する。そのまま秘密計算で解析することで、より高精度な意思決定が可能となる。そして、実施の形態の乱数生成機構５４と同様の乱数生成機構を設け、ベンダーＰ環境の装置を環境Ａ装置７２と同様に構成し、ベンダーＱ環境の装置を環境Ｂ装置７４のと同様に構成することで、顧客情報の流出のリスクを低減することができる。また、仮に流出が生じた場合でもより容易に容疑者を絞り込むことができる。

以上、実施の形態に係る秘密分散ベースＭＰＣシステム７０の構成と動作について説明した。この実施の形態は例示であり、各構成要素や各処理の組み合わせにいろいろな変形例が可能なこと、またそうした変形例も本発明の範囲にあることは当業者に理解される。

＜変形例＞
実施の形態では、環境Ａ装置７２においてシェアにシェア更新用乱数を加える一方、環境Ｂ装置７４において対応するシェアからシェア更新用乱数を減じることで、更新後の両シェアを合わせたときにシェア更新用乱数による影響が相殺されるようにする場合を説明したが、これに限られない。例えば、シェアの更新方法は、法を考慮した場合、更新後のシェアを合わせるとシェア更新用乱数の影響が無い、たとえば「＋０」となるように設計されてもよい。

図２１は、変形例に係る秘密分散ベースＭＰＣの考え方を示す模式図である。図２１ではシェアの更新時のシェアの変化量が示される。図２２は、図２１に対応するシェア値の変化を示す模式図である。本変形例は、周期的に０（ゼロ）値のシェアを足して、各装置上のシェアを変化させて、安全性を高めるものである。

法を１６、つまり１６で巡回する環境を考える。この環境では、乱数でシェア化すると、例えば、
７＝（１５＋８）ｍｏｄ１６＝２３ｍｏｄ１６＝７
０＝（３＋１３）ｍｏｄ１６＝１６ｍｏｄ１６＝０
となる。本変形例では、元のデータに０を何回足しても０であるから、法１６の下で足し合わせると０となる数の組み合わせでシェアを更新する。

図２１、図２２において、元のデータ「７」はシェアＡ「１５」とシェアＢ「８」に分割され、両シェアを合わせると上記の計算例のとおりに確かに元のデータ「７」が復元される。シェア更新用乱数として「３」が生成された場合、シェアＡは「＋３」により更新されて「２」となり、シェアＢは法１６を考慮してシェア更新用乱数「３」から算出される「＋１３」（補足：１３＝（−３）％１６）により更新されて「５」となる。その結果、更新後の両シェアを合わせると（２＋５）＝７であり、上記の計算例のとおりシェア更新用乱数の影響は「＋０」となり、元のデータ「７」が復元される。

このように、どの上下の組み合わせを足し合わせても、１６で剰余をとれば元のデータ（「７」）になる。しかしながら、組み合わせを変えると、偶然の一致を除けば元のデータが復元できなくなる。

５４ 乱数生成機構、 ７０ 秘密分散ベースＭＰＣシステム、 ７２ 環境Ａ装置、 ７４ 環境Ｂ装置。

Claims (5)

1. 秘密分散ベースのマルチパーティ計算に利用されるシェアを保持する装置であって、前記装置が有するシェアと他の装置が有する対応するシェアとを合わせると元のデータを復元可能であり、前記装置は、
   乱数を取得する手段と、
   前記装置のシェアを、取得された乱数に基づいて更新する手段と、を備え、
   前記更新する手段における更新の方法は、取得された乱数に基づいて更新された前記装置のシェアと、当該乱数に基づいて更新された前記他の装置の対応するシェアと、を合わせると、当該乱数による影響が相殺されて元のデータが復元されるように設計される装置。
2. 前記取得する手段は更新された乱数を取得し、
   前記更新する手段は、更新された前記装置のシェアを、更新された乱数に基づいてさらに更新する請求項１に記載の装置。
3. 乱数は周期的に更新され、
   前記取得する手段は、乱数が更新されるたびに更新された乱数を取得する請求項２に記載の装置。
4. 前記装置のシェアと、当該シェアのリビジョンを特定する値と、を対応付けて保持する手段と、
   前記更新する手段は、前記他の装置と通信することによって、取得された乱数に基づいて更新された前記装置のシェアのリビジョンと、当該乱数に基づいて更新された前記他の装置の対応するシェアのリビジョンと、を一致させるための処理を行う請求項１から３のいずれか一項に記載の装置。
5. 前記装置のシェアのリビジョンと、当該リビジョンのシェアに対するアクセスの情報と、を対応付けて保持する手段をさらに備える請求項４に記載の装置。

Images